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于 腾讯 威胁 情报 反馈 平台 (https://security.tencent.com/) 所 收 到 的 所 有 情报 。 
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基本 原则 








1) 腾讯 非常 重视 自身 产品 和 业务 的 安全 问题 ， 我 们 承诺 ， 对 每 一 位 报告 者 反馈 的 问题 都 有 
专人 进行 跟 进 、 分 析 和 处 理 ， 并 及 时 给 予 答复 。 

































































2) 腾讯 在 跟 进 报告 者 反馈 的 问题 时 可 能 需要 报告 者 的 帮助 ， 为 了 有 效 的 跟 进 问题 可 能 需要 
报告 者 协助 一 同 复 现 问题 ， 腾 读 反 对 和 谴责 一 切 遮 掩 漏洞 细节 或 抗拒 协助 的 报告 行为 。 
对 于 提交 高 质量 报告 并 在 报告 、 反 馈 和 积极 响应 跟 进 等 过 程 中 提供 有 效 帮 助 的 报告 者 ， 
腾讯 也 会 酌情 给 予 相应 的 奖励 。 




























































































3) 腾讯 支持 负责 任 的 漏洞 披露 和 处 理 过 程 ， 我 们 承诺 ， 对 于 每 位 恪守 白 帽 子 精 神 ， 保 护 用 
户 利益 ， 帮 助 腾 讯 提升 安全 质量 的 用 户 ， 我 们 将 给 予 感谢 和 回馈 。 































































































4) 腾讯 反对 和 谴责 一 切 以 漏洞 测试 为 借口 ， 利 用 安全 漏洞 进行 破坏 、 损 害 用 户 利益 的 黑客 
行为 , 包括 但 不 限于 利用 漏洞 盗 取 用 户 隐 私 及 虚拟 财产 、 入 侵 业 务 系统 、 窃 取 用 户 数据 、 
恶意 传播 漏洞 等 。 



























































5) 腾讯 反对 和 谴责 一 切 利用 安全 漏洞 恐吓 用 户 、 攻 击 竞 争 对 手 的 行为 。 























6) 腾讯 认为 每 个 安全 漏洞 的 处 理 和 整个 安全 行业 的 进步 ， 都 离 不 开 各 方 的 共同 合作 。 和 希望 
企业 、 安 全 公司 、 安 全 组 织 、 安 全 研究 者 一 起 加 入 到 “负责 任 的 漏洞 披露 ”过 程 中 来 ， 
一 起 为 建设 安全 健康 的 互联 网 而 努力 。 



































7) 请 报告 者 严格 遵守 《SRC 行业 安全 测试 规范 》(https://security.tencent.com/index.php/anno 














uncementmsg/180) 和 《TSRC 安全 测试 规范 》(https:/security.tencent.comy/index.php/an 
nouncement/msg/266 )。 
评分 标准 通用 原则 


1) 评分 标准 仅 针对 对 腾讯 产品 和 业务 有 影响 的 威胁 情报 。 域 名 包括 但 不 限于 *.qq.com、*. 
tencent.com、*.tenpay.com， 服 务 器 包括 腾讯 运营 的 服务 器 ， 产 品 为 腾讯 发 布 的 客户 端 产 
品 。 对 腾讯 业务 安全 无 影响 的 威胁 情报 ， 不 计 分 。( 注 : 搜 搜 、QQ 输入 法 等 业务 已 移交 
给 搜狗 ， 易 迅 、 拍 拍 等 业务 已 移交 给 京东 ) 
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业 邮 箱 IOS 版 、 朋 友 
予 计 分 :s 
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由 于 业务 调整 ， 不 再 更 


YU -ar 口 
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女 








网 


世 的 客户 


i 





亲 广 








(包括 但 不 限 


口 品 





对 于 非 腾讯 直接 发 布 的 产品 和 业务 或 是 腾讯 开放 平台 的 第 三 方 应 月 





但 不 限于 是 *.qzoneapp.com，*.myqcloud.com 等 )， 均 不 计 分 。 

















4) 通用 型 漏洞 (如 | 











同一 


个 








山洞 源 产 4 











E 的 多 个 











站 XSS/CSRF 漏洞 、 
个 flash xss 漏洞 等 。 


— 
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对 于 第 三 方 库 〈 比 如 libpng、zlib、libjpeg 等 ) 导致 的 客户 端 ) 





E 的 多 个 XSS 》 











于 QQ 影 
卓 版 、QQ 便民 、 手 机 QQ 浏览 器 国际 版 、QQ 旋风 等 ) 将 不 


山洞 、 同 一 


像 、QQ 安 卓 HD 版 、 企 











威胁 情报 “域名 包括 




















届 洞 ) 一 般 计 漏洞 数量 为 一 个 。 例 如 同一 个 
JS 引起 的 多 个 XSS 漏洞 、 同 一 个 发 布 系统 引起 的 多 个 页 面 的 XSS 
泛 域名 解析 产 4 














山洞 、 框 架 导 致 的 整 
域名 下 同一 组 件 产 生 的 多 

















忆 洞 (包括 PC 和 移动 端 )， 
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对 于 移动 终端 系统 导致 的 通 月 


可 以 通过 升级 或 者 更 换 第 三 方 忆 














可 完成 修复 的 漏洞 ， 仅 给 首 








个 漏洞 报告 者 计 分 。 





日 型 漏洞， 比如 webkit 的 uxss、 代 码 执行 等 ， 仅 给 首 个 漏洞 





报告 者 计 分 ， 对 于 其 它 产品 的 同 个 漏洞 报告 ， 均 不 再 男 外 计 分 。 
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由 于 客户 端 沁 } 
漏洞 长 ， 有 时 可 能 


7) 























审核 本 身 比较 复杂 关 
于 报告 者 提供 的 ) 








PJ Eel 

















F 且 涉及 到 其 它 的 开发 部 门 
































给 出 结论 ， 请 各 位 白 1 
视频 ， 并 提供 相应 的 














目 了 











E 解 。 基 | 
局 洞 分 析 ， 以 加 快 管理 员 处 至 


出 











请 各 位 白 帽 子 在 反馈 漏洞 



















































































， 审 核 时 间 可 能 较 WEB 





局 洞 细节 不 够 详尽 ， 导 致 TSRC 无 法 按 原 定时 间 内 





时 提供 poc/exploit 与 验证 





速度 ， 对 于 poc 或 exploit 未 提供 或 者 






































没有 详细 分 析 的 漏洞 提交 将 可 能 直接 影响 评分 。 
8) 如 果 同 一 时 间 周 期 内 提交 同一 客户 端的 多 个 漏洞 ， 请 报告 者 在 反馈 漏洞 时 明确 给 出 导致 

漏洞 和 触发 漏洞 的 关键 代码 ， 以 帮助 快速 确认 是 否 为 相同 漏洞 ， 加 快 漏洞 确认 时 间 。 
9) 对 于 第 三 方 通用 型 漏洞 导致 的 安全 问题 ， 依 据 通用 漏洞 奖励 标准 。 




















10) 威胁 必 
报 继续 计 分 。 



































11) 同一 条 威胁 情报 ， 第 
不 计 分 。 


12) 拒绝 无 实际 危害 证 明 的 扫描 器 结果 。 


13) 以 安全 测试 为 借口 , 利 月 


个 





及 告 者 














BA 
村 








4 报 报 告 者 复查 安全 问题 时 如 果 发 现 安全 问题 仍然 存在 或 未 修复 好 , 当 作 新 威胁 避 





A 
口 





分 , 其 他 报 




















者 不 得 分 ; 提交 网 上 已 公开 的 威胁 情 于 





lu 

















已 





昌 情 报信 息 进 行 损害 用 户 利益 、 影 响 业 务 正常 运作 、 修复 前 公开 、 


盗 取 用 户 数据 等 行为 的 ， 将 不 会 计 分 ， 同 时 腾讯 保留 采取 进一步 法 律 行 动 的 权利 。 


14) 禁止 未 经 腾讯 授权 ， 私 自 公开 漏 洞 的 行为 ， 一 旦 发 现 严 司 











等 
I 5 。 




















9 处理 ， 包 括 奖励 取消 、 账 户 禁 


15) 本 标准 所 有 内 容 最 终 解 释 权 归 TSRC 所 有 。 








威胁 情报 反馈 与 处 理 流程 


[ 预报 告 阶段 ] 
威胁 情报 报告 者 授权 腾讯 威胁 情报 反馈 平台 (https://security.tencent.com/index.php/report) 生 
成 帐号 。 






































[ 报告 阶段 ] 
威胁 情报 报告 者 登陆 腾讯 威胁 情报 反馈 平台 ， 提 单反 馈 威 胁 情报 〈 状 态 ， 待 审核 )。 





















































[ 处 理 阶 段 ] 
1) 一 个 工作 日 内 ， 腾 讯 安 全 应 急 响 应 中 心 〈 以 下 简称 TSRC) 工作 人 员 会 确认 收 到 的 威胁 
情报 报告 并 跟 进 开始 评估 问题 (状态 ， 审核 中 )。 



















































































2) 三 个 工作 日 内 ，TSRC 工作 人 员 处 理 问题 、 给 出 结论 并 计 分 (状态 : 已 确认 /已 忽略 )。 必 
要 时 会 与 报告 者 沟通 确认 ， 请 报告 者 予以 协助 。 
































[ 修复 阶段 ] 

1) 业务 部 门 修复 威胁 情报 中 反馈 的 安全 问题 并 安排 更 新 上 线 (状态 : 已 修复 )。 修 复 时 间 根 
据 问题 的 严重 程度 及 修复 难度 而 定 ， 一 般 来 说 ,严重 和 高 风险 问题 24 小 时 内 ,中 风险 3 
个 工作 日 内 ， 低 风险 7 个 工作 日 内 。 客 户 端 安全 问题 受 版 本 发 布 限制 ， 修 复 时 间 根 据 实 
际 情 况 确定 。 

































































2) 威胁 情报 报告 者 复查 安全 问题 是 否 修复 〈 状 态 : 已 复查 /复查 异议 )。 











[ 完成 阶段 ] 
1) TSRC 每 月 第 一 周 内 ， 发 布 上 月 威胁 情报 处 理 公 告 ， 向 上 
布 威胁 情报 处 理 情况 。 






































了 的 威胁 情报 报告 者 致谢 并 公 












































2) 威胁 情报 报告 者 可 以 使 用 安全 币 在 虚拟 市 场 置换 现金 或 礼品 ， 置 换 完成 后 ，TSRC 为 威 
胁 情报 报告 者 发 出 现金 或 礼品 ， 同 时 不 定期 也 会 有 奖励 及 线 下 活动 。 

























































































3) 在 得 到 威胁 情报 报告 者 许可 的 情况 下 ，TSRC 不 定期 挑选 有 代表 意义 的 威胁 情报 进行 分 
析 ， 分 析 文 章 将 发 表 在 TSRC 官网 。 














威胁 情报 评分 标准 

















腾讯 威胁 情报 主要 包含 三 大 部 分 的 内 容 : 业务 漏洞 、 安 全 情报 、 通 用 软件 漏洞 。 


















































根据 目前 腾讯 产品 的 重要 程度 和 发 展现 状 ， 我 们 将 在 漏洞 赏 金 范围 内 的 产品 划分 为 核心 产 
品 、 重 点 产品 、 边 缘 产 品 ， 下 面 我 们 将 分 别 描述 其 范围 和 评分 标准 。 
































目前 在 漏洞 奖励 计划 中 的 “核心 产品 ” 范围 仅 包 含 以 下 可 影响 腾讯 绝 大 多 数 用 户 的 核心 产品 
功能 《列表 会 持续 更 新 ): 








微 信 即 时 通讯 功能 
微 信 通讯 录 

微 信 朋友 图 
微 信 视频 号 
微 信 公众 号 











微 信 搜 一 搜 
微 信 看 一 看 
微 信 扫 一 扫 








微 信 小 程序 主 框架 API 

微 信 支付 功能 〈 不 包含 支付 引导 页 网 格 所 推荐 的 服务 ) 
微 信 钱包 

微 信 网 页 版 

QQ 即时 通讯 功能 

QQ 好 友 关 系列 表 
QQ 钱包 (不 包含 钱包 引导 页 网 格 所 推荐 的 服务 ) 
QQ 空间 主 域 (*.qzone.qq.com) 

QQ 邮箱 主 域 (*.mail.qq.com) 

企业 邮箱 主 域 (*.exmail.qq.com) 

企业 微 信 管理 后 台 

企业 微 信 通讯 录 

企业 微 信 即时 通讯 功能 

王者 逐次 手 游 

和 和 平 精英 手 游 




























































































英雄 联盟 端 游 












































财 付 通 
里 财 通 

腾讯 云 基础 平台 、 账 号 及 支付 体系 
腾讯 会议 

腾讯 视频 主 站 和 移动 端 APP 
DNSPOD 

重点 产品 范围 描述 








包含 绝 大 部 分 的 腾讯 旗下 产品 和 业务 ， 例 如 腾讯 游戏 助手 、 腾 讯 乘 车 码 小 程序 、 腾 讯 看 点 、 
QQ 音乐 等 产品 ， 包 括 但 不 限于 移动 应 用 、 客 户 端 、 小 程序 、Web 站 点 、 硬 件 、IOT、 服 务 
器 服务 等 产品 模式 。 
































边缘 产品 范围 描述 





腾讯 公司 旗下 边缘 业务 所 产生 的 移动 应 用 、 客 户 端 、 小 程序 、Web 站 点 、 硬 件 等 相关 产品 ; 
一 般 表现 为 平台 用 户 少 于 百人 ， 平 台数 据 实时 性 低 于 1 天 ， 客 户 端 产品 较 长 时 间 未 更 新 等 ; 
包含 非 腾讯 进行 开发 、 运 维和 运营 的 应 用 、 小 程序 后 端 API 站 点 、 服 务 器 等 。 















































TSRC 贡献 值 体系 

















基于 以 上 的 产品 范围 描述 ，TSRC 针对 不 同 产品 范围 的 安全 报告 构建 起 TSRC 贡献 值 体系 ， 
并 根据 该 体系 作为 主要 参考 为 白 帽 子 提供 奖励 。 
























































计算 公式 : 单个 漏洞 贡献 值 = 积分 * 贡献 系数 
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依据 该 体系 ， 当 白 帽 子 提供 一 个 核心 产品 ( 见 上 述 核心 产品 范围 描述 ) 的 严重 漏洞 并 获得 
确认 时 ， 白 帽子 将 可 能 获得 至 少 9 * 220 = 1980 的 安全 币 奖 励 。 其 余 情况 见 下 表 : 























TSRC 贡献 值 体 系 











Ey 
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边缘 重点 核心 





























低 1-2 4 12 17 














中 3-5 5 18 27 
高 6-8 11 69 103 
严重 9-10 18 148 220 
































1 个 安全 币 价值 人 民 币 5 元 ， 所 以 对 应 的 现金 奖励 范围 如 下 : 
































TSRC 贡献 值 体系 












































现金 奖励 范围 (单位 : 元) 
危害 分 级 积分 
边缘 重点 核心 

低 1-2 20-40 60-120 85-170 
中 3-5 75-125 270-450 405-675 
高 6-8 330-440 2070-2760 3090-4120 

严重 9-10 810-900 6660-7400 9900-11000 

漏洞 报告 质量 奖 




















同时 我 们 鼓励 白 帽子 提供 更 加 清晰 、 定 位 明确 且 能 帮助 业务 快速 跟 进 的 漏洞 报告 ， 并 为 高 质 
量 报告 者 提供 最 高 5000 元 人 民 币 的 现金 奖励 。 当 白 帽子 为 其 发 现 的 安全 问题 编写 并 提供 优 
质 报告 时 ， 白 帽子 就 有 机 会 在 漏洞 确认 后 直接 通过 额外 的 安全 币 获得 该 奖励 。TSRC 将 根据 
优质 报告 的 实际 情况 ， 为 不 同 的 报告 分 配 相应 额度 的 漏洞 报告 质量 奖 。 











































































































































































































例如 : 漏洞 利用 链 复杂 或 需 多 账号 多 动作 才 可 以 达成 利用 效果 的 漏洞 , 逐步 编写 漏洞 利用 流 
程 ， 并 为 每 个 动作 提供 如 HTTP 请 求 包 文本 、 测 试 思路 、 详 细 的 Payload、 可 一 键 执 行 并 复 
现 的 POC 脚本 或 已 尝试 的 Payload 列表 和 日 志 等 信息 ， 帮 助 TSRC 和 业务 同事 快速 准确 地 
复 现 、 跟 进 和 修复 漏洞 ;满足 以 上 情况 的 报告 将 有 机 会 获得 漏洞 报告 质量 奖 。 

















































































































严重 漏洞 额外 现金 奖 














对 于 为 核心 业务 或 重点 业务 提供 高 质量 严重 漏洞 报告 的 白 帽子 ，TSRC 将 额外 提供 现金 奖 
































励 ， 通 过 “月 度 奖 








核心 产品 的 严重 漏洞 ; 
重点 产品 的 严重 漏 ; 














L 王 
“0 


年 度 特别 奖励 


励 ” 形 式 进 行 发 放 。 奖 


税 后 3 万 以 上 人 民 币 
税 后 1 一 3 万 人 民 币 

















根据 











白 帽 子 报告 的 严重 /高 危 ; 





局 洞 数量 、 

















遵守 安全 测试 规范 、 对 收敛 类 似 风 险 的 








年 度 特别 奖励 获得 者 。 


业务 漏洞 评分 标准 














根据 漏洞 危害 程度 分 为 严重 、 


[ 严重 ] 




















是 

























































































报告 内 容 详 实 
帮助 、 对 优化 安 4 


励 标准 如 下 : 





全 


bs 2 


统 的 





、 协 助 复 现 与 修复 、 保 持 友好 沟通 、 
助 等 多 方面 进行 综合 评选 





儿 





























、 中 、 低 、 无 五 个 等 级 ， 每 个 等 级 评分 如 下 : 



































































































































1) 直接 获取 权限 的 漏洞 〈 仅 限于 腾讯 所 属 的 服务 器 权限 、 核 心 产 品 客户 端 权限 )。 包 括 但 不 
限于 远程 任意 命令 执行 、 上 传 webshell 等 。 

2) 直接 导致 严重 的 信息 泄漏 漏洞 ， 仅 限于 微 信 、QQ、QQ 空间 、 王 者 荣耀 等 平台 或 后 续 产 
生 的 同体 量 平 台 ， 涉 及 的 可 影响 用 户 身 份 信息 安全 的 信息 。 

3) 直接 导致 严重 影响 的 逻辑 漏洞 。 包 括 但 不 限于 伪造 任意 QQ、 微 信 账 号 给 任意 用 户 发 送 
可 完全 自 定 义 内 容 的 消息 ， 任 意 QQ、 微 信 帐 号 密码 更 改 漏 洞 。 如 果 漏 洞 利 用 时 仅 可 弹 
出 骚扰 无 法 指定 可 阅读 的 内 容 ， 则 不 适用 于 定 级 为 严重 漏洞 。 

[高 ] 

能 直接 盗 取 用 户 身 份 信息 的 漏洞 。 包 括 QQ 空间 、QQ 邮箱 、 企 业 邮 箱 、WEB 微 信 、 微 
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两 个 
取 盲 











2) 未 授权 访问 管理 平台 
活跃 度 
































人 号 产品 的 XSS 漏洞 〈 低 交互 易 传 捅 
据 库 表 字 段 名 的 SQL 注入 漏洞 〈 注 : SQL 六 
字符 作为 佐证 ， 不 可 
打 、 破 坏 页 面 结构 等 类 型 










































































并 使 

















可 最 2 


接 利用 SQL 注入 获 
J 的 payload 语句 ， 


管理 员 功 能 ， 包 操 
] 户 基数 (用 户 不 少 于 干 人 )、 功 和 























向 大 量 用 户 )、 腾 讯 业务 站 点 的 可 读 取 数 





入 自 | 
取 





























j 户 数据 ; 














目 子 可 读 取 当 前 


存 


建议 采用 console.log 方式 验 说 








表 的 第 一 个 字段 的 前 
储 型 XSS 漏洞 不 建议 采 
FE)。 





























但 不 限于 敏感 





管理 








后 台 登 录 ， 相 关 平台 的 














重要 性 、 用 户 信 息 








敏感 度 等 都 将 作为 高 危 








漏洞 的 评级 标准 。 





















































— 


高 风险 的 信息 泄漏 漏洞 。 包 括 但 不 限于 可 直接 利用 的 敏感 数据 泄漏 ， 可 导致 站 点 大 量 用 
户 身 份 信息 泄露 的 漏洞 或 直接 对 业务 造成 高 风险 的 信息 。 
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— 

















直接 远程 获取 客户 端 权 限 的 漏洞 。 包 括 但 不 限于 远程 任意 命令 执行 、 可 利用 的 远程 缓冲 
区 溢出 、 可 利用 的 浏览 器 use after free 漏洞 、 远 程 内 核 代 码 执 行 漏洞 以 及 其 它 因 逻 辑 问 
题 导 致 的 远程 代码 执行 漏洞 。 



































— 








5) 能 直接 访问 腾讯 内 网 且 可 获取 回 显 的 SSRF 漏洞 (SSRF 漏洞 请 根据 https://security.tenc 


pf 


ent.com/index.php/announcement/msg/168 进行 测试 , 需 证 明 该 漏洞 点 确实 可 以 访问 内 网 ， 
不 得 对 内 网 服务 进行 扫描 )。 






















































































6) 可 获取 敏感 信息 或 者 执行 敏感 操作 的 核心 客户 端 产品 的 XSS 漏洞 。 























7) 越权 使 用 他 人 身份 进行 所 有 功能 操作 。 

















[中 ] 


























1) 需 交 互 才能 获取 用 户 身 份 信息 的 漏洞 。 包 括 但 不 限于 存储 型 XSS、 反 射 型 XSS、DOM- 
XSS、 重 要 敏感 操作 的 CSRF。 















































2) 远程 应 用 拒绝 服务 漏洞 、 内 核 拒 绝 服务 漏洞 、 可 获取 敏感 信息 或 者 执行 敏感 操作 的 客户 
端 产品 的 XSS 漏洞 。 

















上 

















3) 普通 信息 泄漏 漏洞 。 包 括 但 不 限于 客户 端 明文 存储 密码 、QQ 密码 明文 传输 、 包 含 敏感 
言 息 的 源 代码 压缩 包 泄 漏 。 
































El 


4) qq.com 和 tencent.com 的 子 域名 动 持 。 








5) 需 点 击 链接 进行 交互 的 OAuth 登录 或 绑 定 劫持 。 
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能 直接 访问 腾讯 内 网 但 无 回 显 的 SSRF 漏洞 (SSRF 漏洞 请 根据 https://security.tencent.c 
om/index.php/announcement/msg/168 进行 测试 ， 需 证 明 该 漏洞 点 确实 可 以 访问 内 网 ， 且 
不 得 对 内 网 服务 进行 扫描 )。 
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本 地 任意 代码 执行 。 包 括 但 不 限于 本 地 可 利用 的 堆栈 溢出 、UAF、double free、format 
string、 本 地 提 权 (从 普通 用 户 提升 到 Administrator 或 System 且 客 户 端 产 品 为 默认 设置 )、 
文件 关联 的 DLL 劫持 《不 包括 以 下 几 种 情况 : 加 载 不 存在 的 DLL 文件 、 加 载 正常 DL 
L 未 校 验 合 法 性 、 需 要 管理 员 权 限 操作 、 需 要 用 户 大 量 交互 以 及 基于 KnownDLLs 缺陷 
所 导致 的 DLL 劫持 等 ) 以 及 其 它 逻 辑 问题 导致 的 本 地 代码 执行 漏洞 。 
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[ 低 ] 























可 





1) 只 在 特定 非 流行 浏览 器 环境 下 (如 小 于 IE11 的 浏览 器 等 ) 才能 获取 用 户 身份 信息 的 漏 
洞 。 包 括 但 不 限于 存储 型 XSS、 反 射 型 XSS、DOM-XSS 等 。 





























2) 轻微 信息 泄漏 漏洞 .包括 但 不 限于 Github 泄露 的 非 敏感 系统 源码 及 密码 .SVN 文件 泄漏 、 
phpinfo、logcat 敏感 信息 泄漏 。 






































IDl 
WW 


色 服务 漏洞 .包括 但 不 限于 组 














3) PC 客户 端 及 移动 客户 端 会 影响 用 户 正 常 使 用 场景 的 本 地 
件 权限 导致 的 本 地 拒绝 服务 漏洞 。 


















































4) URL 跳 转 。 包 括 但 不 限于 qq.com 、tencent.com、wechat.com 等 重要 子 域名 下 的 腾讯 U 
RL 跳 转 漏洞 、 需 证 明 可 直接 跳 转 到 http://www.qq.com_521_qq_diao_yu_wangzhan_789. 
com ， 如 能 跳 转 到 该 站 点 , 无 任何 提示 且 未 使 用 其 他 方式 多 次 跳 转 或 中 转 ， 则 认为 存在 

漏洞 ， 否 则 不 存在 ， 如 提交 的 报告 无 法 证 明 跳 转 到 http://www.qq.com_521_qq_diao_yu 

wangzhan_789.com， 原 则 上 不 作为 跳 转 漏洞 确认 。 























































































































5) 难以 利用 但 又 可 能 存在 安全 隐患 的 问题 ,包括 但 不 限于 可 能 引起 传播 和 利用 的 Self-XSS、 
非 重要 的 敏感 操作 CSRF 以 及 需 借助 中 间 人 攻击 的 远程 代码 执行 漏洞 并 提供 有 效 PoC。 













































































[无 ] 





























1) 无 关 安全 的 bug。 包 括 但 不 限于 网 页 乱码 、 网 页 无 法 打开 、 某 功能 无 法 用 。 









































2) 无 法 利用 的 “漏洞 ”。 包括 但 不 限于 没有 实际 意义 的 扫描 器 漏洞 报告 (如 Web Server 的 
低 版 本 )、Self-XSS、 无 敏感 信息 的 JSON Hijacking、 无 敏感 操作 的 CSRF( 如 收藏 、 添 
加 购物 车 、 非 重要 业务 的 订阅 、 非 重要 业务 的 普通 个 人 资料 修改 等 )、 无 意义 的 源码 泄漏 、 
内 网 IP 地 址 /域名 泄漏 、401 基础 认证 钓鱼 、 程 序 路 径 信 任 问 题 、 无 敏感 信息 的 logcat 
信息 泄漏 。 



















































































3) 无 任何 证 据 的 猜测 。 包 括 但 不 限于 自己 QQ 被 盗 就 表示 有 漏洞 。 
























































4) 运营 预期 之 内 或 无 法 造成 资金 损失 的 问题 ， 包 括 但 不 限于 可 使 用 多 个 账号 领取 小 额 奖励 
的 正常 业务 活动 。 











5) 非 腾 讯 业 务 漏洞 。 


安全 情报 评分 标准 





ll 


























安全 情报 是 指 腾讯 的 产品 和 业务 漏洞 相关 的 情报 ， 包括 但 不 限于 漏洞 线索 、 攻 击 线索 、 攻 击 











者 相关 信息 、 攻 击 方式 、 攻 击 技术 等 。 


















































情报 报告 必须 经 过 情报 提供 者 的 验证 和 复 现 并 提供 相关 证 明 材 料 〈 不 限于 复 现 截图 和 视频 ) 
] 于 证 明 威 胁 情 报 真实 有 效 ; 情报 提供 者 需 写 清 事实 依据 ,同时 应 该 反馈 详细 复 现 信息 包括 
卓 不 限于 复 现 行为 开始 时 间 ， 复 现行 为 结束 时 间 ， 复 现 结果 和 结果 证 明 ， 复 现 账号 和 ID 等 。 





































































































根据 危害 及 情报 提供 情况 详细 评分 标准 如 下 表 : 





































































































































































































评分 级 别 线索 范围 描述 

服务 器 被 入 侵 且 提 供 了 入 侵 行为 | 业务 服务 器 被 入 侵 且 提供 了 相关 行为 
方式 等 相关 线索 特征 方便 快速 定位 确认 问题 点 

严重 核心 业务 敏感 数据 泄露 线索 业务 数据 库 被 拖 取 , 且 提 供 了 数据 库 详 

细 人 信息， 方便 快速 定位 确认 问题 点 

重大 金融 逻辑 漏洞 线索 支付 类 严重 的 逻辑 漏洞 
蠕虫 传播 且 提 供 了 蠕虫 传播 的 链 | 核心 业务 存储 型 XSS 导致 的 大 规模 蜂 
接 等 相关 线索 虫 传播 
j 户 身份 信息 大 规模 被 窃取 且 提 | 因 漏洞 引 起 的 大 规模 身份 信息 被 窃取 









































下 





供 了 攻击 代码 等 相关 线索 











核心 游戏 产品 外 挂 线索 核心 游戏 产品 可 严重 影响 游戏 平衡 的 
外 挂 线索 














能 够 帮助 完善 防御 系统 以 防御 高 | 新 型 WebShel、DDoS 等 攻击 方式 
中 风险 及 以 上 级 别 危 害 的 新 型 攻击 
方式 、 技 术 等 























安全 情报 奖励 见 上 述 “TSRC 贡献 值 体系 ”。 




















第 三 方 软件 通用 漏洞 接收 说 明 



































暂停 接收 第 三 方 软件 通用 漏洞 , 建议 您 向 软件 官方 以 及 国家 相关 漏洞 平台 报告 。 如 果 您 发 现 
腾讯 业务 也 受到 通用 漏洞 影响 ,请 将 漏洞 及 受 影响 业务 报告 给 我 们 。 感 谢 您 为 网 络 安全 作出 
贡献 。 







































































英雄 榜 单 与 荣誉 称号 























对 于 每 一 位 提交 有 效 漏洞 /情报 的 白 帽 子 ， 都 会 在 “英雄 榜 ” 展 示 出 网 络 昵称 和 贡献 值 
示 感 谢 。 




















以 


















































在 TSRC 旧 的 贡献 值 体系 下 : 单个 漏洞 贡献 值 = 积分 
在 TSRC 新 版 贡献 值 体系 下 : 单个 漏洞 贡献 值 = 积分 * 新 贡献 系数 






























































日 贡献 系数 分 别 为 : 低 危 (9)、 中 和 危 (15)、 高 危 (60)、 严 重 (120)， 新 贡献 系数 见 上 文 。 


























以 2020 年 5 月 21 日 0 时 为 节点 ， 之 前 的 页 献 值 以 “积分 * 旧 贡 献 系数 ”进行 追溯 计算 ， 
之 后 的 贡献 值 以 “积分 * 新 贡献 系数 ”进行 计算 ， 两 者 累加 得 出 新 版 贡献 值 排行 榜 ， 包 括 
总 排行 、 年 排行 、 月 排行 。 






































因 贡 献 值 排名 体系 变更 ， 为 感谢 白 帽 子 八 年 来 的 支持 ，TSRC 保留 从 20120520 至 20200520 
的 旧 体系 排名 ， 特 设 “ 凌 烟 阁 ” 感谢 白 帽子 的 辛勤 付出 。 















































为 了 更 加 清晰 地 展示 出 贡献 巨大 获得 特别 奖励 的 白 帽子 ，TSRC 也 增设 “特别 奖励 榜 ”， 列举 
特别 现金 奖励 信息 。 




















当 贡 献 值 达到 一 定 分 值 后 ,将 获得 相应 的 “荣誉 称号 ”和 安全 币 鼓 励 ， 荣誉 称号 的 分 值 规定 
如 下 : 








































































































荣誉 称号 旧 榜 单 : 积分 新 榜 单 ， 贡 献 值 〈 积 分 * 贡献 系数 ) 
一 无 所 有 0 0 
新 手 上 路 1 1 
安全 助理 10 50 
民间 高 手 30 300 
安全 研究 员 50 500 
高 级 安全 研究 员 100 1000 
资深 安全 研究 员 150 2000 
安全 专家 300 5000 
高 级 安全 专家 1000 20000 
资深 安全 专家 2500 50000 
权威 专家 5000 200000 














奖励 发 放 原 则 


[ 常规 奖励 ] 





奖品 使 用 安全 币 〈TSRC 威胁 情报 反馈 平台 上 的 一 种 虚拟 货币 ) 兑换 ， 安 全 币 数 量 由 威胁 情 














报 的 评分 乘 以 相应 危害 等 级 系数 而 得 ， 和 危害 等 级 系数 参考 “威胁 情报 评分 标准 ”章节 《该 系 
数 会 根据 实际 情况 调整 ， 每 次 调整 会 公告 发 布 )。 多 个 威胁 情报 产生 的 安全 币 可 累加 ， 除 非 
特别 声明 ， 未 使 用 的 安全 币 不 会 过 期 。 


























奖品 上 架 时 有 数量 限制 ， 当 期 上 架 奖 品 被 兑换 完 后 不 再 









































接受 兑换 。 














礼品 每 月 邮寄 两 次 ，15 号 之 前 苋 换 的 当月 中 下 旬 邮 寄 ， 




















15 号 之 后 兑换 的 次 月 月 初 邮寄 。 如 





因 报告 者 未 能 完善 资料 导致 的 延误 ， 将 顺延 至 下 个 月 批量 寄 送 时 寄 出 ; 如 因 报 告 者 过 失 、 快 





递 公司 问题 及 人 力 不 可 抗拒 因素 产生 的 奖品 丢失 或 者 损坏 ，TSRC 不 承担 责任 。 


[ 月 度 奖励 ] 

















为 误 励 报告 者 提交 高 质量 的 威胁 情报 , 每 月 会 设置 若干 现金 奖励 具体 奖励 名 额 根据 当月 威 


胁 情 报 质量 而 定 ， 无 上 限 ， 也 可 能 空 











缺 ， 奖 励 范 围 如 下 : 








1) 提交 核心 业务 或 重点 业务 的 严重 漏洞 报告 者 〈 奖 金 见 上 述 “ 严 重 漏洞 额外 现金 奖 ”) 





























2) 思路 新 颖 或 影响 范围 大 ， 对 腾讯 业务 安全 做 出 突出 贡献 的 报告 者 〈 奖 金 为 税 后 5 和 干 以 上 





人 民 币 ) 














TSRC 在 每 月 初 对 上 个 月 所 有 报告 进行 高 质量 评选 ， 并 发 放 现 金奖 励 。 























争议 解决 办 法 











的 ， 请 通过 当前 威胁 情报 报告 页 面 


























在 威胁 情报 处 理 过 程 中 ， 如 果 报 告 者 对 处 理 流程 、 威 胁 


的 








班 人 员 ” 的 按钮 及 时 沟通 。 腾 讯 安全 应 急 响 应 中 心 将 根 和 














FE 论 功 能 或 者 页 面 


























青 报 评定 、 威 胁 情报 评分 等 具有 异议 
中 的 “一 键 联系 处 理 人 员 ”“ 联 系 值 






































行 处 理 ， 必 要 时 可 引入 外 部 人 士 共同 裁定 。 


威胁 情报 报告 者 利益 优先 的 原则 进 


FAQ 


Q: TSRC 平台 的 工 个 安全 币 相当 于 多 少 人 民 币 ? 


A: 根据 既往 奖励 标准 ， 当 前 TSRC 平台 1 个 安全 币 相当 于 5 元 人 民 币 。 











Q: 在 腾讯 威胁 情报 反馈 平台 上 的 威胁 情报 会 公开 吗 ? 





A: 为 了 保护 用 户 利益 , 在 威胁 情报 反馈 的 安全 问题 修复 前 , 威胁 情报 相关 信息 均 不 会 公开 。 
安全 问题 修复 后 ， 且 经 TSRC 授权 后 威胁 情报 报告 者 可 以 公开 。 本 着 “ 授 人 以 鱼 不 如 授 人 以 
渔 ” 的 考虑 ，TSRC 建议 威胁 情报 报告 者 将 威胁 情报 相关 技术 进行 归 类 和 总 结 ， 以 技术 文章 
的 方式 公开 ， 且 不 展示 有 具体 产品 名 称 。 








































































































Q: TSRC 与 其 他 安全 团体 的 关系 是 如 何 的 ? 





























A: 腾讯 安全 离 不 开业 界 的 支持 与 帮助 ，TSRC 愿意 与 各 个 安全 团体 深度 合作 ， 共 同 推动 安 
全 行业 的 健康 发 展 。 目 前 TSRC 已 经 与 一 些 安全 团体 展开 了 合作 ， 未 来 将 有 更 多 合作 。 
































Q: 腾讯 威胁 情报 奖励 计划 是 不 是 用 奖品 隐瞒 安全 问题 ? 














A: 不 是 。 首 先 ， 我 们 认为 ， 在 威胁 情报 中 的 安全 问题 未 修复 前 ， 为 了 保护 用 户 利益 ， 威 胁 
青 报 不 应 该 被 公开 ,这 也 是 业界 的 通用 做 法 。 其 次 ， 腾讯 为 威胁 情报 报告 者 提供 礼品 等 奖励 
是 为 了 表达 对 威胁 情报 报告 者 的 感谢 和 尊重 ， 绝 对 不 是 用 奖品 隐瞒 威胁 情报 中 的 安全 问题 。 












































汶 










































































Q: Google 漏洞 奖励 5 万 美金 ， 为 什么 腾讯 的 奖励 只 有 发 公仔 ? 








A: 首先 ， 腾 讯 目 前 已 为 多 位 高 质量 威胁 情报 报告 者 送出 了 包括 现金 、iPhone、Mac、New 
iPad、 三 星 手机 、 小 Q 机 器 人 在 内 的 奖品 ， 并 不 是 只 有 公仔 ; 其次， 由 于 每 个 公司 的 实际 情 
况 不 同 ， 腾 讯 目 前 的 奖品 价值 可 能 还 没有 国外 的 一 些 公司 那么 大 ， 但 我 们 后 续 会 不 断 努 力 ， 
更 多 的 回馈 每 位 负责 任 的 威胁 情报 报告 者 。 

































































































































































Q: 是 不 是 一 个 Shell 换 一 个 iPad? 








A: 不 是 。 腾讯 威胁 情报 奖励 计划 是 按照 贡献 度 来 进行 奖励 的 , 具体 规则 请 参考 本 文档 的 “ 威 
胁 情 报 评分 标准 ”和 “奖励 发 放 原 则 ”章节 ， 提 交 高 质量 威胁 情报 越 多 ， 获 得 奖励 越 大 。 




















Q: 腾讯 是 不 是 只 感谢 通过 腾讯 威胁 情报 反馈 平台 的 报告 者 ? 























A: 不 会 。 腾 讯 尊重 和 感谢 每 一 位 善意 的 报告 者 。 但 是 腾讯 威胁 情报 奖励 计划 目前 仅 针 对 腾 
讯 威 胁 情 报 反 馈 平 台 ， 对 于 通过 其 他 渠道 反馈 的 威胁 情报 ， 我 们 也 会 表示 感谢 。 









































Q: 腾讯 有 没有 先 “ 忽 略 ” 漏 洞 然后 偷偷 修复 ? 









































A: 绝对 不 会 。 提 交 的 “漏洞 ”一 旦 进入 “忽略 ”状态 ， 跟 进 同事 会 在 评论 中 留 下 忽略 的 原 
因 。 常 见 情况 是 这 个 “漏洞 ”不 认为 是 漏洞 而 被 评估 为 一 个 bug，TSRC 仅 知 会 相关 产品 同 
事 ， 是否 更 改 这 个 “bug” 由 产品 同事 决定 ， 另外 一 种 情况 是 业务 本 身 的 变动 ， 导 臻 “漏洞 ” 
不 复 存 在 。 但 是 不 论 如 何 ， 腾 讯 方面 都 不 会 “偷偷 修复 漏洞 ”。 












































































































































